Взлом DNS маршрутизатора и компрометация переадресации портов UPnP: шлюз интернет-провайдера, указывающий на мошеннические DNS-серверы, 30-30-30 вместо жесткого сброса NVRAM и зашифрованный DoH/DoT¶

Открываете свой ноутбук или смартфон через Wi-Fi дома или в небольшом офисе только для того, чтобы увидеть подделку. "Chrome / Windows Critical Update Required" всплывающие окна, экраны Captive-портала с запросом пароля вашего маршрутизатора или электронной почты, NET::ERR_CERT_AUTHORITY_INVALID Предупреждения о сертификате TLS на банковских веб-сайтах или обнаружение того, что ваш маршрутизатор WAN / DHCP конфигурация была незаметно переписана, чтобы указать на мошеннический иностранный DNS IP-адрес (или открыл десятки несанкционированных UPnP правила переадресации портов, открывающие доступ к общедоступному Интернету вашим NAS, камерам и ПК) является серьезной угрозой на уровне сети. Когда злоумышленник взломал ваш маршрутизатор Wi-Fi или шлюз интернет-провайдера (Netgear, TP-Link, ASUS, Linksys, D-Link, MikroTik, Ubiquiti, Arris, Comcast Xfinity, AT&T BGW, BT Smart Hub), они управляют шлюзом по умолчанию (192.168.1.1 или 192.168.0.1) для каждого устройства в вашем здании одновременно, включая iPhone, телефоны Android, телевизоры Smart TV, рабочие ноутбуки и центры Интернета вещей, на которые невозможно установить традиционное антивирусное программное обеспечение.

Хуже того, современные семейства вредоносных программ для маршрутизаторов (VPNFilter, KV-Botnet, RaptorTrain, Volt Typhoon, ZuoRAT, Cyclops Blinkи GhostDNS) используют два различных механизма сохранения: некоторые просто изменяют энергонезависимые NVRAM настройки (DNS серверы, CWMP / TR-069 удаленное управление и UPnP таблицы) через подделку межсайтового запроса (CSRF) или пароли администратора по умолчанию, в то время как продвинутые ботнеты размещают полезную нагрузку внутри /tmp RAM или перезаписать Linux MTD Флэш-разделы SPI. Информацию о компрометации сети и NAS см. Взлом DNS, реконфигурация глобальной сети маршрутизатора интернет-провайдера и подмена авторизованного портала, взломанный домашний или небольшой офисный NAS, программа-вымогатель DeadBolt и отключение UPnPи защита домашних маршрутизаторов и устройств Интернета вещей. Если взлом вашей сети затронул медицинское телеметрическое оборудование или физические системы безопасности жизни, немедленно переключитесь на сотовую связь и позвоните по местному номеру службы экстренной помощи (911 в США и Канаде, 112 по всему Европейскому Союзу, 999 в Великобритании) или проверьте наш каталог номера экстренных служб.

Сделай это сейчас¶

1. Немедленно отключите свои телефоны и ноутбуки от скомпрометированной сети Wi-Fi и НЕ НАЖИМАЙТЕ "Update", "Install Certificate", или "Verify Account" в любом всплывающем окне браузера:
2. Почему несанкционированные всплывающие окна DNS смертельны: когда взломанный маршрутизатор указывает на ваш DHCP DNS-преобразователь на вредоносный IP-адрес, вводя обычное доменное имя (или когда ваша ОС проверяет подключение через msftconnecttest.com / captive.apple.com) перенаправляет ваш браузер на контролируемый злоумышленником сервер, на котором размещено вредоносное ПО ClickFix / Lumma Stealer / Fake Chrome Update или поддельная страница входа в Интернет-провайдер. Переключите свои смартфоны на сотовую связь 5G/LTE немедленно.
3. СНАЧАЛА выдерните вилку питания маршрутизатора на 60 секунд (Stage-2 /tmp RAM Malware Flush), затем подключите один чистый компьютер через кабель Ethernet (с выключенным Wi-Fi), чтобы проверить и перезагрузить маршрутизатор:
4. Почему ФБР рекомендует немедленно отключить питание: Большинство ботнетов с многоступенчатыми маршрутизаторами (VPNFilter, KV-Botnet, ZuoRAT) не могут записывать свои большие активные исполняемые файлы для анализа пакетов и прокси-серверов в крошечные файлы, доступные только для чтения. SquashFS флеш-разделы; вместо этого они запускают этапы 2 и 3 в энергозависимом режиме RAM (/tmp или /var/run). Отключение шнура питания на 60 секунд немедленно отключает активный перехватчик пакетов в памяти, поэтому вы можете безопасно получить доступ к странице администрирования маршрутизатора, чтобы стереть постоянство этапа 1 и перепрограммировать прошивку.
5. Знайте правду о "30-30-30 Hard Reset" против современного Bootloader / NVRAM Factory Reset:
6. На протяжении десятилетий гиды рекомендовали 30-30-30 reset (удерживайте отверстие сброса в течение 30 секунд при включенном питании, 30 секунд при отключении от сети и 30 секунд при повторном включении питания).
7. Техническая реальность: 30-30-30 время было специфичным для устаревшей версии ** Broadcom CFE (Common Firmware Environment) загрузчики работают DD-WRT**. О современном ARM и MIPS маршрутизаторы работают U-Boot (ASUS, TP-Link, Netgear, UniFi, GL.iNet), отключение питания с удержанием кнопки сброса во время загрузки фактически переводит маршрутизатор в Bootloader. TFTP / Crashed Recovery режим, а не стирание NVRAM.
8. Для сброса настроек NVRAM на любом современном маршрутизаторе: оставьте шнур питания подключенным, а маршрутизатор полностью загрузится, нажмите и удерживайте утопленную кнопкуReset Нажмите и удерживайте кнопку точечного отверстия в течение 10-30 секунд, пока все передние светодиодные индикаторы не начнут мигать желтым/красным и маршрутизатор не перезагрузится, затем отпустите.
9. Переустановите последнюю официальную заводскую прошивку (.bin / .chk / .trx / .img), загруженное через чистое сотовое соединение ПЕРЕД повторным подключением WAN (Интернет) Кабель Ethernet:
10. Если вы выполнили сброс настроек маршрутизатора, пока он WAN порт все еще подключен к общедоступному Интернету, автоматические сканеры ботнетов (Shodan / Censys нацеленные на сценарии массовой эксплуатации WAN порты управления 8080, 8443, 7547 TR-069, или UPnP SOAP) может повторно использовать неисправленную уязвимость или admin/admin войдите в систему в течение 90 секунд после перезагрузки.
11. Сначала загрузите последнюю версию прошивки, используя точку доступа сотовой связи вашего телефона, отсоедините WAN кабель от роутера, выполнить сброс настроек, загрузить файл прошивки оффлайн через 192.168.1.1, установите новый 20-значный пароль администратора и только после подключите WAN интернет-кабель обратно.
12. Отключить UPnP (Universal Plug and Play), NAT-PMP, Remote WAN Managementи WPS сразу в настройках роутера:
13. Девяносто процентов несанкционированных нарушений переадресации портов происходят потому, что UPnP включено по умолчанию на потребительских маршрутизаторах: любой зараженный смарт-телевизор, IoT-камера или скрипт браузера в вашей локальной сети может отправить неаутентифицированное UPnP IGD SOAP XML-запрос (AddPortMapping) чтобы 192.168.1.1:1900 указание маршрутизатору открывать внешние порты брандмауэра прямо на внутренний NAS (port 5000/445) или ПК с ОС Windows (port 3389 RDP).
14. Очистка локального DNS Cache и ARP Cache на каждом устройстве Windows, Mac, iPhone и Android и включите Encrypted DNS (DNS-over-HTTPS / DoH или DNS-over-TLS / DoT):
15. Даже после того, как вы почините маршрутизатор, ваши ноутбуки и телефоны будут продолжать маршрутизировать трафик на IP-адреса злоумышленника до тех пор, пока не истечет срок жизни их кэшированных DNS TTL или пока вы вручную не очистите кэши DNS ОС и браузера (ipconfig /flushdns).

Дерево решений: диагностика и устранение взлома DNS маршрутизатора или компрометации UPnP¶

Следуйте этому рабочему процессу сетевой криминалистики, чтобы подтвердить взлом, устранить постоянство и усилить защиту шлюза:

flowchart TD
    Start["Подозрительные перенаправления, предупреждения сертификатов, всплывающие окна с поддельными обновлениями или медленный/перехваченный трафик по Wi-Fi."] --> AuditDNS["ШАГ 1. Запустите nslookup google.com и проверьте таблицу переадресации портов WAN/DHCP DNS IP + UPnP маршрутизатора."]

    AuditDNS --> IsHijacked{"Маршрутизатор показывает неизвестные внешние IP-адреса DNS ИЛИ несанкционированную переадресацию портов UPnP?"}

    IsHijacked -->|"НЕТ: DNS и порты маршрутизатора чистые, только ОДНО устройство имеет перенаправления"| LocalMalware["Компрометация является локальной для этого отдельного компьютера/телефона -> проверьте файл «hosts», вредоносные расширения Chrome или мошеннический профиль прокси-сервера/VPN."]

    IsHijacked -->|"ДА: DNS маршрутизатора изменен, управление глобальной сетью открыто или присутствуют несанкционированные правила UPnP."| UnplugWAN["ШАГ 2. Отсоедините кабель WAN (Интернет) от маршрутизатора + выключите и включите маршрутизатор на 60 секунд, чтобы удалить вредоносное ПО «/tmp» из ОЗУ."]

    UnplugWAN --> EoLCheck{"Является ли маршрутизатор шлюзом, принадлежащим интернет-провайдеру, или вашим собственным розничным маршрутизатором?"}

    EoLCheck -->|"Модем/маршрутизатор, арендованный интернет-провайдером (Comcast, AT&T, Spectrum, BT, Virgin, Rogers)"| ISPGateway["1. Удерживайте кнопку физического сброса в течение 15-30 с. 2. Измените пароли администратора и Wi-Fi + отключите UPnP. 3. Если TR-069/прошивка скомпрометирована, потребуйте немедленной бесплатной замены оборудования в магазине интернет-провайдера."]

    EoLCheck -->|"Розничный маршрутизатор: срок эксплуатации модели истек (EoL / отсутствие обновлений прошивки в течение 2+ лет)"| ReplaceRouter["ОТКЛЮЧИТЕ НАВСЕГДА И ЗАМЕНИТЕ ОБОРУДОВАНИЕ: непропатченные маршрутизаторы EoL будут повторно взломаны в течение нескольких часов после повторного подключения к глобальной сети"]

    EoLCheck -->|"Розничный маршрутизатор: активно поддерживаемая модель"| CleanReflash["1. Загрузите последнюю официальную прошивку через чистую точку доступа сотовой связи. 2. Удерживайте кнопку Reset Pinhole 15-30 с (при включенном и автономном режиме). 3. Прошивка через Ethernet -> Отключить UPnP и WAN Admin -> Установить зашифрованный DoH/DoT."]

Этап 1. Как доказать, что таблица DNS или UPnP вашего маршрутизатора была взломана (криминалистический аудит)¶

Прежде чем стереть маршрутизатор, потратьте 2 минуты, чтобы проверить, что было изменено, чтобы знать, не отравил ли злоумышленник только DNS (GhostDNS style) или также перенаправлять порты во внутреннюю сеть (UPnP / NAT вторжение).

1. Аудит ваших активных DNS-серверов из командной строки (nslookup / scutil / resolvectl)¶

Откройте терминал или командную строку на компьютере, подключенном к сети, и запустите: - Окна (Command Prompt / PowerShell):

ipconfig /all
nslookup example.com

scutil --dns | grep 'nameserver\[[0-9]*\]'

resolvectl status

Сравните DNS Servers IP-адрес, возвращенный вашим маршрутизатором, в соответствии с этой таблицей законных и взломанных конфигураций:

2. Аудит вашего маршрутизатора UPnP и Port Forwarding / Virtual Server Таблица¶

Когда вы входите в интерфейс администратора вашего маршрутизатора (http://192.168.1.1, 192.168.0.1, 10.0.0.1, или 192.168.50.1), перейдите на Advanced -> NAT Forwarding / Port Forwarding / UPnP: - Посмотрите на UPnP Portmap Table (активная аренда UPnP): - Легальные игровые консоли временно открывают порты UDP с высоким уровнем нагрузки (например, UDP 3074 для Xbox/Call of Duty). - Признаки активного компрометации: если вы видите UPnP правила переадресации внешних TCP-портов на Port 445 (SMB), Port 3389 (Windows Remote Desktop / RDP), Port 22 (SSH), Port 5000 / 5001 / 8080 (Synology / QNAP NAS), Port 554 (RTSP Security Cameras) или Port 1080 / 9050 (SOCKS5 Proxy Botnet), вредоносное ПО внутри вашей сети (или глобальной сети). UPnP SOAP эксплойт) пробил дыры прямо в вашем брандмауэре. - Также проверьте Advanced -> Security -> Remote Management (WAN Access) и Firewall -> DMZ: - Убедитесь, что Remote Management (Веб-доступ из глобальной сети) ОТКЛЮЧЕН (OFF) и этоDMZ Host ОТКЛЮЧЕН (Blank / 0.0.0.0). Злоумышленники, взломавшие маршрутизатор, почти всегда включаются. Remote Management on Port 8080 / 8443 или поместите внутренний IP-адрес в DMZ чтобы они могли вернуться позже.

Этап 2. Поэтапное устранение маршрутизатора. NVRAM сброс и автономная перепрошивка прошивки¶

Никогда просто не заходите на скомпрометированный маршрутизатор и не вводите 8.8.8.8 обратно в DNS-бокс без его сброса и перепрошивки: если злоумышленник подкинул cron работа, измененная dnsmasq.conf, включено TR-069 (CWMP) мошенническая автоконфигурация или эксплуатация неисправленной уязвимости прошивки, мошенническая настройка DNS вернется обратно через 10 минут.

Выполните это 6-этапное восстановление чистой комнаты:

Шаг 1. Загрузите последнюю официальную прошивку и инструменты ПЕРЕД отключением Интернета.¶

1. Использование смартфона с передачей данных по сотовой сети (с выключенным Wi-Fi) или компьютера, подключенного к точке доступа сотовой связи вашего телефона:
2. Посмотрите на физическую наклейку в нижней части маршрутизатора и прочитайте точный номер модели И версию оборудования (Ver: 1.0, v2, v4.20). (Мигает Hardware v1 прошивка на v2 роутер может его заблокировать.)
3. Перейдите непосредственно на официальный сайт поддержки производителя (asus.com, tp-link.com, netgear.com, linksys.com, ui.com) и загрузите последнюю версию прошивки .zip архив на свой компьютер.
4. Извлеките .zip файл, чтобы у вас был необработанный .bin, .chk, .trx, или .img файл прошивки готов на вашем рабочем столе.

Шаг 2. Изолируйте маршрутизатор от WAN (Интернет) и сбросить энергозависимые RAM¶

1. Отключите WAN Кабель Ethernet (кабель, идущий от оптоволокна) ONT или кабельного модема в синий/желтый Internet / WAN порт на вашем роутере).
2. Отключите все LAN Кабели Ethernet, за исключением одного чистого ноутбука/ПК (с отключенным Wi-Fi).
3. Отключите шнур питания маршрутизатора от сети на 60 полных секунд: это полностью разрядит конденсаторы материнской платы и уничтожит все запущенные вредоносные программы Stage-2/Stage-3. /tmp ОЗУ.

Шаг 3. Выполните правильное оборудование NVRAM Сброс к заводским настройкам (и почему этого следует избегать? 30-30-30 на современных роутерах)¶

1. Снова подключите шнур питания маршрутизатора (держите WAN интернет-кабель отключен) и подождите 2 полных минуты, пока маршрутизатор не завершит полную загрузку.
2. С помощью скрепки или инструмента для извлечения SIM-карты нажмите и удерживайте утопленную Reset кнопка с отверстием на задней панели маршрутизатора:
3. Стандарт U-Boot / Современные маршрутизаторы Linux (ASUS, TP-Link, Netgear, Linksys, Ubiquiti, Synology, Eero): Удерживайте Reset удерживайте кнопку непрерывно в течение 15-30 секунд, пока маршрутизатор включен, пока все светодиодные индикаторы не начнут быстро мигать или не станут желтыми, затем отпустите кнопку и подождите 3 минуты, пока маршрутизатор перезагрузится с очисткой данных. NVRAM перегородка.
4. Специально для ASUS "Hard Factory Reset" (NVRAM + /jffs Очистка раздела): На маршрутизаторах ASUS (RT-AX, RT-BE, GT-AX серии), вредоносные программы или мошеннические сценарии могут скрываться внутри постоянных /jffs флэш-раздел, который выдерживает обычный сброс. Чтобы стереть оба NVRAM и /jffs на роутере ASUS:
   1. Выключите питание маршрутизатора.
   2. Нажмите и удерживайте физическую WPS кнопку (не кнопку «Сброс»).
   3. Удерживая WPS кнопку, включите питание маршрутизатора ВКЛ.
   4. Продолжайте держать WPS в течение 15 секунд, пока индикатор питания не начнет быстро мигать, затем погаснет или перезагрузится, и отпустите. Это выполняет аппаратный уровень NVRAM + /jffs стереть.

Шаг 4. Обновите прошивку в автономном режиме и заблокируйте панель администрирования.¶

1. На компьютере, подключенном к Ethernet, откройте частное окно браузера в режиме инкогнито и перейдите на IP-адрес маршрутизатора по умолчанию (http://192.168.1.1, 192.168.0.1, или 192.168.50.1).
2. Завершите мастер первоначальной настройки офлайн и сразу же установите уникальный 20-значный пароль администратора (никогда не используйте повторно пароль Wi-Fi в качестве пароля администратора маршрутизатора).
3. Перейти к Administration / System -> Firmware Upgrade -> Manual / Local File Upload, выберите файл официальной прошивки, скачанный на шаге 1, и прошейте его. Даже если номер версии такой же, как у уже установленной, перепрошивка перезаписывает rootfs образ системы и проверяет криптографическую подпись прошивки.
4. После перезагрузки маршрутизатора после прошивки прошивки проверьте эти 6 обязательных настроек защиты, прежде чем снова подключать интернет-кабель:
5. UPnP (Universal Plug and Play): Установите значение DISABLED / OFF.
6. Remote Management (WAN Web Access / HTTPS from WAN / SSH from WAN): Установите значение DISABLED / OFF.
7. TR-069 / CWMP (На розничных маршрутизаторах): установите значение .DISABLED / OFF (если этого не требует оптоволоконный шлюз интернет-провайдера).
8. WPS (Wi-Fi Protected Setup PIN/кнопка): установите значение DISABLED / OFF.
9. Wi-Fi Security: Установите значение WPA3-Personal (или WPA2/WPA3-Personal AES; никогда WPA/TKIP или WEP) с совершенно новой фразой-паролем Wi-Fi.
10. WAN DNS Server: вручную установите для основного DNS значение .1.1.1.1 (Cloudflare) или 9.9.9.9 (DNS для блокировки вредоносных программ Quad9) и вторичный DNS для 1.0.0.1 или 149.112.112.112 (и включить DNS-over-TLS / DoT на маршрутизаторе, если поддерживается).
11. Подключите WAN (Интернет) обратно в маршрутизатор.

Этап 3. Очистка зараженных кэшей DNS на всех устройствах и включение зашифрованного DNS (DoH / DoT)¶

Даже после того, как ваш маршрутизатор будет на 100 процентов чистым, любой ноутбук, настольный компьютер или смартфон, который был подключен во время взлома, все еще может содержать отравленные записи DNS (TTL до 7 дней), модифицированный локальныйhosts файл или отравленный пул сокетов браузера.

Шаг 1. Проверьте локальную hosts файл и очистка DNS-кеша ОС + браузера¶

1. Убедитесь, что вредоносное ПО не создало поддельные записи в локальной папке вашего компьютера. hosts файл:
2. Windows: откройте Блокнот от имени администратора и откройте C:\Windows\System32\drivers\etc\hosts. Каждая строка в чистом умолчанию hosts файл должен начинаться с # (комментарии). Удалите любые сопоставления строк реальных доменных имен (google.com, microsoft.com, банковские сайты или антивирусные домены) на странные IP-адреса.
3. macOS/Linux: проверьте cat /etc/hosts в Терминале.
4. Очистите кэши DNS и ARP операционной системы:
5. Окна (Run Command Prompt as Administrator):

   ipconfig /flushdns
   ipconfig /release
   ipconfig /renew
   arp -d *
   

6. macOS (Terminal):

   sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
   

7. iPhone/iPad/Android: включите режим полета на 15 секунд, затем выключите его и забудьте и снова подключитесь к сети Wi-Fi.
8. Очистка внутреннего кэша DNS и сокетов браузера Chrome, Edge и Brave:
9. Браузеры Chromium поддерживают собственный внутренний кэш DNS, независимый от Windows/macOS.
10. Откройте Chrome, Edge или Brave -> введите chrome://net-internals/#dns в адресной строке -> нажмите Clear host cache.
11. Далее нажмите Sockets на левой боковой панели (chrome://net-internals/#sockets) -> нажмите Close idle sockets и Flush socket pools.

Шаг 2. Включите зашифрованный DNS (DNS-over-HTTPS / DoH и DNS-over-TLS / DoT), поэтому маршрутизатор НИКОГДА не сможет снова перехватить ваш DNS.¶

Традиционный DNS (UDP port 53) полностью незашифрован и не прошел аутентификацию: любой скомпрометированный маршрутизатор, интернет-провайдер, Wi-Fi в кафе или шлюз отеля могут перехватить ваши запросы к порту 53 и подделать поддельные ответы. Включение DNS-over-HTTPS (DoH) или DNS-over-TLS (DoT) оборачивает ваши DNS-запросы внутрь TLS 1.3 шифрование подтверждается криптографическим сертификатом. Это означает, что даже если ваш маршрутизатор взломан, он не сможет прочитать или изменить ни один запрос DNS:

Этап 4. Аудит внутренних устройств, которые были открыты во время UPnP был открыт(NAS, Camerasи RDP)¶

Если проверка вашего маршрутизатора на этапе 1 показала, что неавторизованный UPnP переадресация портов (или DMZ воздействие) был активен до перезагрузки маршрутизатора, вы должны убедиться, что злоумышленники не закрепились на внутреннем устройстве, пока эти порты брандмауэра были открыты:

1. Проверьте домашние/офисные устройства NAS (Synology DiskStation, QNAP, TrueNAS):
2. Откройте панель управления NAS -> Security Advisor / QuFirewall / Connection Logs.
3. Ищите неудачные или успешные попытки входа в систему администратора с иностранных IP-адресов, недавно созданных учетных записей администратора или неожиданных запланированных cron задачи.
4. В настройках NAS (Control Panel -> External Access -> Router Configuration), снимите отметки со всех автоматических UPnP поля настройки маршрутизатора, чтобы NAS больше никогда не пытался открыть порты маршрутизатора.
5. Проверьте компьютеры с ОС Windows на наличие RDP (Port 3389) Вторжение грубой силы:
6. Если TCP 3389 появился в вашем роутере UPnP таблицу, откройте Windows Просмотр событий (eventvwr.msc) -> Windows Logs -> Security и отфильтровать по Event ID 4624 (Успешный вход в систему, тип входа 10 RemoteInteractive) и Event ID 4625 (Ошибка входа в систему).
7. Отключить удаленный рабочий стол Windows (Settings -> System -> Remote Desktop -> OFF), если только доступ к нему не осуществляется строго через зашифрованную одноранговую сеть VPN (Tailscale, WireGuard, или ZeroTier).
8. Изолируйте Smart TV, IP-камеры и устройства IoT от гостевой сети Wi-Fi (VLAN / AP Isolation):
9. Подавляющее большинство внутренних UPnP Взлом маршрутизатора происходит из-за дешевой IoT-камеры, умной розетки или Android TV-приставки в вашей основной сети Wi-Fi, которая присоединяется к ботнету и отправляет UPnP IGD приказывает 192.168.1.1.
10. Включите Гостевую сеть Wi-Fi вашего маршрутизатора с помощью Access Intranet / Allow guests to see each other and access my local network установлен на OFF (Client Isolation) и переместите все смарт-телевизоры, камеры, роботы-пылесосы и интеллектуальные устройства на этот изолированный гостевой SSID, чтобы они никогда не могли связаться с IP-адресом управления локальной сети вашего маршрутизатора (192.168.1.1) или снова ваши рабочие ноутбуки.

Часто задаваемые вопросы¶

Как хакер изменил настройки DNS внутри моего домашнего роутера, если они не сидели у меня дома на моем Wi-Fi?¶

Злоумышленники удаленно взломали домашние и небольшие офисные маршрутизаторы, даже не находясь рядом с вашим Wi-Fi, используя три основных метода: (1) Подделка межсайтового запроса (CSRF) и перепривязка DNS: вы посещаете обычный веб-сайт, содержащий вредоносный рекламный скрипт, находясь на домашнем компьютере; этот сценарий молча отправляет HTTP-запрос POST из вашего браузера непосредственно на локальный маршрутизатор (http://192.168.1.1/apply.cgi), и если ваш маршрутизатор по-прежнему использует пароль по умолчанию (администратор / администратор или администратор / пароль), скрипт перезаписывает DNS-серверы WAN вашего маршрутизатора за 1 секунду. (2) Открытое управление глобальной сетью или ТР-069 (Порт 7547/8080/8443): Автоматические интернет-сканеры находят маршрутизаторы с открытыми или неисправленными программными обеспечениями удаленного администрирования и вводят команды непосредственно из Интернета; и (3) УПнП Воздействие глобальной сети: Старые или неправильно настроенные маршрутизаторы случайно раскрывают свои УПнП SOAP-демон (порт 1900/5000) к интерфейсу WAN, что позволяет любому пользователю Интернета добавлять или изменять правила переадресации портов. УстановитьDNSсервер настройки без пароля.

Почему вы сказали, что знаменитый «30-30-30 Hard Reset» не работает на современных маршрутизаторах и действительно может вызвать проблемы?¶

The 30-30-30 сброс (удержание Reset в течение 30 секунд при включении, 30 секунд при выключении и 30 секунд при включении) было написано 20 лет назад специально для Маршрутизаторы Linksys WRT54G работают ДД-ВРТ на Бродкоме ДОВСЕ загрузчики. Практически на каждом современном роутере, выпущенном за последние 12 лет (Асус, ТП-Линк, Netgear, Линксис Велоп, ЮниФи, МикроТик), удерживая физическую кнопку сброса при подключении шнура питания это аппаратный триггер, останавливающий нормальную загрузку и вводящий загрузчик ТФТП Режим восстановления прошивки (где индикатор питания медленно мигает в ожидании TFTP-сервера и NVRAM есть нет вообще стерто). Чтобы правильно протереть NVRAM вернуться к заводским настройкам на любом современном маршрутизаторе, держите шнур питания подключенным, пока маршрутизатор полностью загружен, удерживайте отверстие сброса в течение 15-30 секунд, пока индикаторы не начнут мигать, и дайте ему перезагрузиться самостоятельно.

Если я отключу UPnP (Universal Plug and Play) на моем маршрутизаторе в целях безопасности, не помешает ли это моим рабочим вызовам Zoom, потоковой передаче Netflix или просмотру веб-страниц?¶

Нет, отключаю УПнП не оказывает никакого влияния на Zoom, Microsoft Teams, Netflix, YouTube, Slack, электронную почту или просмотр веб-страниц. Все стандартные интернет-приложения запускаются исходящий подключения вашего устройства к облачному серверу, который проверяется Stateful Packet Inspection вашего маршрутизатора (СПИ) Брандмауэр NAT обрабатывается автоматически без УПнП. только вещи, которые используют УПнП , это одноранговые многопользовательские консольные игры (хостинговые лобби PlayStation, Xbox, Nintendo Switch), BitTorrent-клиенты и автономные серверы (Плекс) пытаюсь принять нежелательное входящий связи от незнакомцев в Интернете. Уходя УПнП повернулся ВЫКЛ. рекомендуется АНБ, СНГАи ФБР потому что это не позволяет вредоносным программам или мошенническим устройствам IoT внутри вашего дома тайно открывать порты брандмауэра в общедоступный Интернет.

Что, если мой маршрутизатор представляет собой арендованный у интернет-провайдера комбинированный модем/шлюз (например, Comcast Xfinity xFi, AT&T BGW320 или Spectrum) и не позволяет мне менять DNS-серверы или прошивать прошивку?¶

Многие шлюзовые модемы, поставляемые интернет-провайдером, блокируют глобальная DNS поля в веб-интерфейсе, чтобы клиенты не могли их изменять, и управляли прошивкой исключительно через коаксиальную/оптоволоконную головную станцию интернет-провайдера через ДОКСИС или ТР-069. Если шлюз, арендованный интернет-провайдером, демонстрирует несанкционированное поведение DNS или несанкционированную переадресацию портов: (1) Удерживайте физический утопленный Сброс отверстие на задней стороне шлюза интернет-провайдера для от 20 до 30 секунд чтобы принудительно выполнить сброс настроек и обновить ДОКСИС / ОНТ загрузка загрузочного файла от вашего интернет-провайдера; (2) Войдите в мобильное приложение своего интернет-провайдера (Xfinity, SmartHomeManager, Мой спектр), чтобы изменить пароль своей учетной записи и просмотреть все настройки приложения. Порт Форвардс; и (3) Настройка Зашифрованный DNS (DoH / ДоТ) прямо на ваших ноутбуках, телефонах и браузерах (как показано выше в Этапе 3) или включите шлюз интернет-провайдера в Режим моста/режим сквозной передачи IP и подключите к нему собственный безопасный розничный маршрутизатор.

Связанные руководства¶

• Взлом DNS, реконфигурация глобальной сети маршрутизатора интернет-провайдера и подмена авторизованного портала
• Скомпрометированное домашнее или небольшое офисное NAS (QNAP/Synology), программа-вымогатель DeadBolt и отключение переадресации портов UPnP.
• Защита домашних маршрутизаторов и устройств Интернета вещей
• Поддельное CAPTCHA ClickFix PowerShell Win+R, вредоносное ПО для буфера обмена и устранение информационного вора Lumma
• Аварийное исправление уязвимостей нулевого дня и изоляция устройств по окончании срока службы (EoL)
• Номера экстренных служб по странам

Источники и официальное руководство¶

• Агентство национальной безопасности (NSA) и Агентство кибербезопасности и безопасности инфраструктуры (CISA Совместный информационный бюллетень по кибербезопасности - media.defense.gov): Рекомендации по обеспечению безопасности домашней сети (отключение UPnP, WAN Администрация, Наследие WPSи Замена вышедших из эксплуатации маршрутизаторов SOHO).
• Федеральное бюро расследований (FBI Объявление государственной службы I-052518-PSA & KV-Botnet / RaptorTrain Рекомендации): Иностранные киберпреступники, нацеленные на домашние и офисные маршрутизаторы: немедленная перезагрузка для очистки полезной нагрузки ОЗУ Stage-2, сброс настроек до заводских настроек и протокол обновления прошивки.
• Рабочая группа по интернет-инжинирингу (IETF RFC 8484 - * DNS-запросы через HTTPS (DoH)* & RFC 7858 - Спецификация DNS поверх безопасности транспортного уровня (DoT)): Криптографическая аутентификация и защита целостности рекурсивного разрешения DNS.
• Официальные рекомендации по безопасности ASUS, Netgear и TP-Link: Аппаратное обеспечение NVRAM и /jffs Процедуры восстановления заводских настроек раздела по сравнению с. U-Boot / CFE Состояния восстановления TFTP.